OpenAI prepara un nuevo sprint de seguridad con Cathedral y cuadruplica las recompensas de su bug bounty
OpenAI anunció el 2 de noviembre un nuevo sprint interno de seguridad junto a la empresa Cathedral, cuyos investigadores usarán sus modelos para poner a prueba sus defensas, además de un incremento en su programa de recompensas por fallos: hasta 30 000 dólares por una vulnerabilidad crítica, y hasta 172 000 dólares sumando bonus.
OpenAI anunció el 2 de noviembre de 2026 dos medidas de ciberseguridad interconectadas: un nuevo sprint interno de seguridad, esta vez junto a investigadores externos de la firma Cathedral, y un notable incremento en los pagos de su programa de recompensas por fallos (bug bounty), gestionado a través de Bugcrowd. La propuesta declarada: emplear sus propios modelos para localizar vulnerabilidades antes de que lo hagan los atacantes.
Un sprint con investigadores externos
OpenAI explica que los investigadores de Cathedral utilizarán sus modelos codo con codo con sus propios equipos para «poner a prueba» sus defensas. La empresa no ha facilitado fechas, duración ni el número de efectivos destinados a este sprint. En cambio, sí detalla el desarrollo del anterior: el 25% de sus ingenieros de producto se dedicó a la búsqueda y subsanación de vulnerabilidades, apoyándose en Codex para examinar avisos recibidos, reproducir fallos en entornos aislados y preparar parches que fueron revisados antes de su despliegue.
El artículo justifica esta estrategia señalando que las defensas convencionales «ya no bastan» y hace referencia a «incidentes recientes en el sector», sin entrar en detalles. Asimismo, recuerda que OpenAI pone sus modelos más avanzados al alcance de los clientes de Daybreak, su oferta de ciberseguridad, y que ha prometido mil millones de dólares en acceso subvencionado a lo largo de seis meses para los defensores de infraestructuras críticas y servicios esenciales.
Recompensas de hasta 172 000 dólares
En lo que respecta al bug bounty, OpenAI asegura haber multiplicado por más de cuatro de media el punto medio de sus baremos para vulnerabilidades de gravedad media, alta y crítica.
| Gravedad (ejemplos de OpenAI) | Recompensa previa citada | Nuevo cálculo ilustrativo |
|---|---|---|
| Media, ChatGPT | 750 $ | 2 415 $ |
| Alta, Prism (activo no principal) | 1 000 $ | 3 162,50 $ |
| Crítica, ChatGPT (toma de control de cuenta en un clic) | 6 500 $ | 51 577 $ |
| Excepcional, ChatGPT (lectura de conversaciones de otros usuarios) | 100 000 $ | 171 925 $ |
Ejemplos publicados por OpenAI, presentados con carácter ilustrativo, consultados el 3 de noviembre de 2026.
En la práctica, un fallo crítico detectado en un producto principal (ChatGPT, Codex o la plataforma de su API) reportará a partir de ahora hasta 30 000 dólares de base. A esta cifra se pueden añadir tres factores multiplicadores: un bonus por calidad para informes acompañados de una prueba de concepto sólida, un programa de fidelidad con cinco niveles y campañas prioritarias con fondos adicionales asignados a nuevas características. Los avisos aún pendientes de resolución se evaluarán con las nuevas tablas, y aquellos abonados en los 30 días anteriores recibirán un ajuste compensatorio. Por otra parte, el equipo de seguridad asistirá al evento PROMPT2PWN en Oakland los días 20 y 21 de noviembre.
Qué conviene tener presente
Los importes más elevados exigen acumular todas las bonificaciones posibles y representan situaciones hipotéticas. El límite superior de 100 000 dólares para hallazgos excepcionales ya existía previamente; la verdadera novedad radica en los pagos «habituales» para fallos de nivel medio a crítico y en la gratificación añadida a los informes detallados y bien documentados.
Daybreak, la plataforma de seguridad de OpenAI mencionada en el anuncio, ya generó debate la semana pasada a raíz de las condiciones de entrenamiento sobre las sesiones de Daybreak Blue.
Nuestro análisis
El planteamiento de OpenAI resulta coherente: si los modelos se vuelven especialmente eficaces encontrando fallos de seguridad, los laboratorios deben utilizarlos primero contra sus propios sistemas y compensar a los investigadores externos lo suficiente como para incentivar el reporte responsable frente a la reventa en mercados secundarios. La subida de las cuantías base para vulnerabilidades medias y altas —mucho más habituales que las «excepcionales»— constituye sin duda el cambio más tangible para la comunidad. Con todo, el sprint con Cathedral se ha anunciado sin un calendario claro ni compromisos de difusión pública de resultados, mientras que las sumas más llamativas son solo simulaciones teóricas y no desembolsos reales. La efectividad de la medida se comprobará con las auditorías que salgan a la luz y las recompensas que se paguen en los próximos meses.
Fuentes
- OpenAI — Preparing our next security sprint to harden OpenAI (2 de noviembre de 2026) Fuente primaria
- OpenAI — Rewarding defenders with bigger bug bounties (2 de noviembre de 2026) Fuente primaria
- OpenAI en X — anuncio del sprint de seguridad (3 de noviembre de 2026) Fuente primaria
- Bugcrowd — programa Security Bug Bounty de OpenAI Fuente primaria
Una fuente primaria procede directamente de la empresa, el laboratorio o la organización implicados. Una fuente secundaria recoge la información sin ser su autora: la señalamos como tal. ¿Has visto un error? Consulta nuestra política de correcciones.
